⚠️وقتی ویندوز علیه شما دستکاری می‌شود: تعییر پروفایل پاورشل
بحثی پیرامون مدل بلوغ SOC در دوره CISSP
#blueteam #cissp
برای مثال، در یک سناریوی واقعی، هکر میتواند تغییراتی در پروفایل پاورشِل (PowerShell Profiles)اعمال کند تا از کشف فعالیت‌های مخرب خود جلوگیری کند. این پروفایل‌ها فایل‌های اسکریپتی هستند که هنگام اجرای پاورشِل بارگذاری می‌شوند و می‌توانند برای تغییر تنظیمات و محیط پاورشِل استفاده شوند.
❇️مثال سناریوی مخرب:
هکر میتواند با اضافه کردن اسکریپتی به پروفایل پاورشِل، ردپاهای لاگ‌برداری یا فرمان‌های قبلی را حذف کند.
فایل‌های پروفایل پاورشِل:
پروفایل‌ها معمولاً در یکی از مسیرهای زیر قرار دارند:
- C:\Users\<UserName>\Documents\WindowsPowerShell\Microsoft.PowerShell_profile.ps1
- C:\Windows\System32\WindowsPowerShell\v1.0\profile.ps1
👈تغییر مخرب:
هکر میتواند کدی مانند زیر به پروفایل اضافه کند:
powershell
پاک کردن تاریخچه فرمان‌ها
Remove-Item -Path (Get-PSReadlineOption).HistorySavePath -Force
غیرفعال کردن تاریخچه برای استفاده‌های بعدی
Set-PSReadlineOption -HistorySaveStyle SaveNothing
پنهان کردن فرمان‌ها در لاگ‌های Event Viewer
$LogFile = "C:\Windows\System32\LogFiles\PowerShell.evtx"
Remove-Item -Path $LogFile -Force -ErrorAction SilentlyContinue
☣️اثرات:
1. پاک کردن تاریخچه دستورات: تمام دستورات اجرا شده در پاورشِل حذف می‌شوند.
2. غیرفعال کردن ثبت دستورات: تضمین می‌کند که تاریخچه دستورات جدید ثبت نشود.
3. حذف فایل‌های لاگ: فایل‌های لاگ مرتبط با پاورشِل از سیستم حذف می‌شوند.
✅️ نحوه تشخیص:
- بررسی تغییرات در فایل‌های پروفایل پاورشِل (مانند تغییر زمان آخرین ویرایش).
- استفاده از ابزارهای SIEM (مانند Splunk) برای شناسایی فعالیت‌های غیرمعمول.
- اجرای دستوری برای مشاهده پروفایل کاربر:
powershell
Get-Content $PROFILE
- استفاده از نرم‌افزارهای نظارتی برای جلوگیری از تغییر در فایل‌های پروفایل حساس.
🔰راهکارهای پیشگیرانه:
1. فعال کردن AppLocker یا WDAC:برای جلوگیری از اجرای پروفایل‌های غیرمجاز.
2. محدود کردن دسترسی به فایل‌های پروفایل: فقط کاربران مجاز بتوانند این فایل‌ها را تغییر دهند.
3. استفاده از مانیتورینگ پاورشِل:نظارت بر دستورات و فایل‌های پروفایل پاورشِل با ابزارهایی مانند Microsoft Defender for Endpoint.
** واتس اپ برای شرکت در دوره مدرک عالی امنیت CISSP:
09902857290
#cissp #cisspexam #cisspperp
بله یک شبه نمیتوان SOC کامل داشت.
#آکادمی_روزبه
بحثی پیرامون مدل بلوغ SOC در دوره CISSP
#blueteam #cissp
برای مثال، در یک سناریوی واقعی، هکر میتواند تغییراتی در پروفایل پاورشِل (PowerShell Profiles)اعمال کند تا از کشف فعالیت‌های مخرب خود جلوگیری کند. این پروفایل‌ها فایل‌های اسکریپتی هستند که هنگام اجرای پاورشِل بارگذاری می‌شوند و می‌توانند برای تغییر تنظیمات و محیط پاورشِل استفاده شوند.
❇️مثال سناریوی مخرب:
هکر میتواند با اضافه کردن اسکریپتی به پروفایل پاورشِل، ردپاهای لاگ‌برداری یا فرمان‌های قبلی را حذف کند.
فایل‌های پروفایل پاورشِل:
پروفایل‌ها معمولاً در یکی از مسیرهای زیر قرار دارند:
- C:\Users\<UserName>\Documents\WindowsPowerShell\Microsoft.PowerShell_profile.ps1
- C:\Windows\System32\WindowsPowerShell\v1.0\profile.ps1
👈تغییر مخرب:
هکر میتواند کدی مانند زیر به پروفایل اضافه کند:
powershell
پاک کردن تاریخچه فرمان‌ها
Remove-Item -Path (Get-PSReadlineOption).HistorySavePath -Force
غیرفعال کردن تاریخچه برای استفاده‌های بعدی
Set-PSReadlineOption -HistorySaveStyle SaveNothing
پنهان کردن فرمان‌ها در لاگ‌های Event Viewer
$LogFile = "C:\Windows\System32\LogFiles\PowerShell.evtx"
Remove-Item -Path $LogFile -Force -ErrorAction SilentlyContinue
☣️اثرات:
1. پاک کردن تاریخچه دستورات: تمام دستورات اجرا شده در پاورشِل حذف می‌شوند.
2. غیرفعال کردن ثبت دستورات: تضمین می‌کند که تاریخچه دستورات جدید ثبت نشود.
3. حذف فایل‌های لاگ: فایل‌های لاگ مرتبط با پاورشِل از سیستم حذف می‌شوند.
✅️ نحوه تشخیص:
- بررسی تغییرات در فایل‌های پروفایل پاورشِل (مانند تغییر زمان آخرین ویرایش).
- استفاده از ابزارهای SIEM (مانند Splunk) برای شناسایی فعالیت‌های غیرمعمول.
- اجرای دستوری برای مشاهده پروفایل کاربر:
powershell
Get-Content $PROFILE
- استفاده از نرم‌افزارهای نظارتی برای جلوگیری از تغییر در فایل‌های پروفایل حساس.
🔰راهکارهای پیشگیرانه:
1. فعال کردن AppLocker یا WDAC:برای جلوگیری از اجرای پروفایل‌های غیرمجاز.
2. محدود کردن دسترسی به فایل‌های پروفایل: فقط کاربران مجاز بتوانند این فایل‌ها را تغییر دهند.
3. استفاده از مانیتورینگ پاورشِل:نظارت بر دستورات و فایل‌های پروفایل پاورشِل با ابزارهایی مانند Microsoft Defender for Endpoint.
** واتس اپ برای شرکت در دوره مدرک عالی امنیت CISSP:
09902857290
#cissp #cisspexam #cisspperp
بله یک شبه نمیتوان SOC کامل داشت.
#آکادمی_روزبه
چرا به SOC و CERT خوب نیاز داریم ؟
بررسی تحلیلی ماهیت مهندسی کشف با مثال
🔆در مجموعه پست هایی من قصد دارم شما رو با چرایی نیاز به مرکز عملیات امنیت به شکل کاربردی آشنا کنم از زاویه ای که شاید جذاب باشه
🟣عنوان کلی :
چگونه SOC میتواند حملات روز صفر را قبل از تولدشان شکار کند؟ (درسهایی از Zerologon)
1️⃣قسمت اول
آسیب پذیری Zerologon: روزی که یک “صفر”، امپراتوری مایکروسافت را به لرزه درآورد!
آیا می‌دانستید یک اشتباه برنامه‌نویسی ساده در پروتکلی ۳۰ ساله، می‌توانست در ۳ ثانیه کنترل کامل شبکه شما را به دست یک مهاجم بدهد؟ این داستان خطرناک اما واقعیِ Zerologon (CVE-2020-1472) است.
این آسیب‌پذیری به مهاجمان اجازه می‌داد با ارسال بسته‌هایی پر از “صفر”، رمز عبور قلب شبکه (Domain Controller) را خالی کرده و به بالاترین سطح دسترسی برسند. Zerologon یک زنگ بیدارباش بود: تکیه بر دیوارهای دفاعی و پچ‌های امنیتی به تنهایی کافی نیست.
اما یک امید بزرگ وجود دارد. در این مجموعه پست، می‌خواهم نشان دهم که چگونه یک مرکز عملیات امنیت مدرن و یک تیم پاسخ به حوادث (CERT) کارآمد، می‌توانستند حمله Zerologon را حتی قبل از افشای عمومی آن شناسایی و مهار کنند.
هدف من این است که فراتر از هیاهوی آسیب‌پذیری‌ها برویم و درک کنیم که با داشتن دید کامل، تحلیل رفتار و رویکرد شکار تهدید (Threat Hunting)، می‌توانیم امیدوار باشیم که ناشناخته‌ها را شکار کنیم و یک قدم از مهاجمان جلوتر باشیم.
همراه من باشید تا مرحله به مرحله ببینید چگونه یک SOC خوب، کتابخانه تهدیدات نیست، بلکه یک موتور پیش‌بینی و شکار ناهنجاری است.
ادامه در پستهای بعد...
💫درسهایی از دوره SOC شرکت هامون
Www.haumoun.com
#CyberSecurity #Zerologon #ThreatHunting #SOC #CERT #BlueTeam #ZeroDay #InfoSec #Microsoft #LateralMovement
بررسی تحلیلی ماهیت مهندسی کشف با مثال
🔆در مجموعه پست هایی من قصد دارم شما رو با چرایی نیاز به مرکز عملیات امنیت به شکل کاربردی آشنا کنم از زاویه ای که شاید جذاب باشه
🟣عنوان کلی :
چگونه SOC میتواند حملات روز صفر را قبل از تولدشان شکار کند؟ (درسهایی از Zerologon)
1️⃣قسمت اول
آسیب پذیری Zerologon: روزی که یک “صفر”، امپراتوری مایکروسافت را به لرزه درآورد!
آیا می‌دانستید یک اشتباه برنامه‌نویسی ساده در پروتکلی ۳۰ ساله، می‌توانست در ۳ ثانیه کنترل کامل شبکه شما را به دست یک مهاجم بدهد؟ این داستان خطرناک اما واقعیِ Zerologon (CVE-2020-1472) است.
این آسیب‌پذیری به مهاجمان اجازه می‌داد با ارسال بسته‌هایی پر از “صفر”، رمز عبور قلب شبکه (Domain Controller) را خالی کرده و به بالاترین سطح دسترسی برسند. Zerologon یک زنگ بیدارباش بود: تکیه بر دیوارهای دفاعی و پچ‌های امنیتی به تنهایی کافی نیست.
اما یک امید بزرگ وجود دارد. در این مجموعه پست، می‌خواهم نشان دهم که چگونه یک مرکز عملیات امنیت مدرن و یک تیم پاسخ به حوادث (CERT) کارآمد، می‌توانستند حمله Zerologon را حتی قبل از افشای عمومی آن شناسایی و مهار کنند.
هدف من این است که فراتر از هیاهوی آسیب‌پذیری‌ها برویم و درک کنیم که با داشتن دید کامل، تحلیل رفتار و رویکرد شکار تهدید (Threat Hunting)، می‌توانیم امیدوار باشیم که ناشناخته‌ها را شکار کنیم و یک قدم از مهاجمان جلوتر باشیم.
همراه من باشید تا مرحله به مرحله ببینید چگونه یک SOC خوب، کتابخانه تهدیدات نیست، بلکه یک موتور پیش‌بینی و شکار ناهنجاری است.
ادامه در پستهای بعد...
💫درسهایی از دوره SOC شرکت هامون
Www.haumoun.com
#CyberSecurity #Zerologon #ThreatHunting #SOC #CERT #BlueTeam #ZeroDay #InfoSec #Microsoft #LateralMovement
👍7❤5
مقوله SOC as a Service؛ وقتی مرکز عملیات امنیت تبدیل به «سرویس» می‌شود
بحث SOC as a Service (SOCaaS) مدلی است که در آن سازمان به‌جای ساخت و اداره کامل یک Security Operations Center در داخل مجموعه، بخشی یا تمام قابلیت‌های SOC را از یک ارائه‌دهنده تخصصی دریافت می‌کند.
در این مدل، موضوع صرفاً خرید SIEM یا مانیتورینگ چند داشبورد نیست؛ بلکه مجموعه‌ای از People + Process + Technology به‌صورت یک سرویس مستمر ارائه می‌شود.
یک SOCaaS بالغ معمولاً شامل جمع‌آوری و پایش Log و Telemetry، مدیریت SIEM، تحلیل Alert، Triage توسط L1، تحلیل عمیق‌تر توسط L2/L3، Threat Intelligence، Detection Engineering، Threat Hunting، مدیریت Use Caseها، گزارش‌دهی و Escalation است.
بسته به قرارداد، Incident Response نیز میتواند بخشی از سرویس باشد.
مزیت مهم SOCaaS، دسترسی سازمان به تیم متخصص بدون نیاز به ایجاد کامل یک SOC داخلی 24×7 است. هزینه جذب و نگهداری Analyst، Detection Engineer و Threat Hunter کاهش می‌یابد و ارائه‌دهنده میتواند تجربه حاصل از مشاهده محیط‌های متعدد را وارد عملیات کند.
اما SOCaaS مساوی برون‌سپاری مسئولیت امنیت نیست. مالکیت Risk، تصمیمات حساس، پذیرش ریسک و Governance همچنان باید در سازمان باقی بماند. همچنین SLA، زمان تشخیص و Escalation، مالکیت داده، سطح دسترسی ارائه‌دهنده، Data Retention، محرمانگی و نحوه خروج از قرارداد باید دقیقاً مشخص شوند.
از نظر معماری نیز SOCaaS الزاماً Cloud SOC نیست. SIEM و داده‌ها می‌توانند کاملاً On-Premise نزد مشتری باقی بمانند، در حالی که تیم MSSP از راه دور عملیات SOC را انجام دهد.
بهترین نگاه به SOCaaS این است:
ما «SOC ایجاد نمیکنیم ؛ قابلیت مستمر کشف، تحلیل و مدیریت تهدید را به‌عنوان سرویس دریافت می‌کنیم.»
برای دریافت این سرویس با شرکت #هامون تماس حاصل فرمایید
Www.haumoun.com
#SOCaaS #SOC #MSSP #SIEM #DetectionEngineering #ThreatHunting #CyberSecurity #SecurityOperations #IncidentDetection #BlueTeam
بحث SOC as a Service (SOCaaS) مدلی است که در آن سازمان به‌جای ساخت و اداره کامل یک Security Operations Center در داخل مجموعه، بخشی یا تمام قابلیت‌های SOC را از یک ارائه‌دهنده تخصصی دریافت می‌کند.
در این مدل، موضوع صرفاً خرید SIEM یا مانیتورینگ چند داشبورد نیست؛ بلکه مجموعه‌ای از People + Process + Technology به‌صورت یک سرویس مستمر ارائه می‌شود.
یک SOCaaS بالغ معمولاً شامل جمع‌آوری و پایش Log و Telemetry، مدیریت SIEM، تحلیل Alert، Triage توسط L1، تحلیل عمیق‌تر توسط L2/L3، Threat Intelligence، Detection Engineering، Threat Hunting، مدیریت Use Caseها، گزارش‌دهی و Escalation است.
بسته به قرارداد، Incident Response نیز میتواند بخشی از سرویس باشد.
مزیت مهم SOCaaS، دسترسی سازمان به تیم متخصص بدون نیاز به ایجاد کامل یک SOC داخلی 24×7 است. هزینه جذب و نگهداری Analyst، Detection Engineer و Threat Hunter کاهش می‌یابد و ارائه‌دهنده میتواند تجربه حاصل از مشاهده محیط‌های متعدد را وارد عملیات کند.
اما SOCaaS مساوی برون‌سپاری مسئولیت امنیت نیست. مالکیت Risk، تصمیمات حساس، پذیرش ریسک و Governance همچنان باید در سازمان باقی بماند. همچنین SLA، زمان تشخیص و Escalation، مالکیت داده، سطح دسترسی ارائه‌دهنده، Data Retention، محرمانگی و نحوه خروج از قرارداد باید دقیقاً مشخص شوند.
از نظر معماری نیز SOCaaS الزاماً Cloud SOC نیست. SIEM و داده‌ها می‌توانند کاملاً On-Premise نزد مشتری باقی بمانند، در حالی که تیم MSSP از راه دور عملیات SOC را انجام دهد.
بهترین نگاه به SOCaaS این است:
ما «SOC ایجاد نمیکنیم ؛ قابلیت مستمر کشف، تحلیل و مدیریت تهدید را به‌عنوان سرویس دریافت می‌کنیم.»
برای دریافت این سرویس با شرکت #هامون تماس حاصل فرمایید
Www.haumoun.com
#SOCaaS #SOC #MSSP #SIEM #DetectionEngineering #ThreatHunting #CyberSecurity #SecurityOperations #IncidentDetection #BlueTeam
👏6🙏1💯1
#امنیت_به_زبان_ساده
سرویس WinRM (Windows Remote Management) سرویس مدیریت از راه دور ویندوز است؛ به ادمین اجازه می‌دهد از طریق شبکه، روی سیستم‌های دیگر فرمان اجرا کند، اطلاعات بگیرد و تنظیمات را مدیریت کند. PowerShell Remoting معمولاً از WinRM استفاده می‌کند.
پورت‌های پیش‌فرض آن عبارت‌اند از:
- TCP 5985: ارتباط HTTP
- TCP 5986: ارتباط HTTPS
هکر با آن چه می‌کند؟ اگر مهاجم اعتبارنامه معتبر و مجوز لازم برای اتصال داشته باشد، میتواند از WinRM برای این کارها استفاده کند:
- حرکت جانبی: از سیستم اولیه به سرورها و سیستم‌های دیگر متصل شود.
- اجرای فرمان از راه دور: فرمان‌ها و اسکریپت‌های خود را روی مقصد اجرا کند.
- شناسایی محیط: کاربران، سرویس‌ها، پردازش‌ها و تنظیمات سیستم را بررسی کند.
- اجرای ابزار یا بدافزار: با سطح دسترسی حسابی که در اختیار دارد.
- استفاده از ابزارهای بومی ویندوز: فعالیت مخرب را میان عملیات عادی مدیریت سیستم پنهان کند؛ نمونه‌ای از رویکرد Living off the Land.
مثال: مهاجم حساب یک ادمین را سرقت می‌کند. اگر سرور مقصد WinRM فعال داشته باشد و اتصال آن حساب مجاز باشد، مهاجم میتواند بدون باز کردن دسکتاپ RDP، روی سرور فرمان اجرا کند.
نکته برای SOC: در بسیاری از اجرای‌های PowerShell Remoting، پردازش wsmprovhost.exe در مقصد دیده می‌شود. بررسی فرمان‌ها و پردازش‌های مرتبط با آن، همراه با مبدأ اتصال و حساب استفاده‌شده، ارزشمند است؛ وجود این پردازش به‌تنهایی نشانه حمله نیست.
فعال بودن WinRM به‌خودی‌خود یعنی هک شدن سیستم نیست؛ خطر اصلی، دسترسی شبکه‌ای گسترده و سوءاستفاده از حساب‌های مجاز است.
#WinRM #PowerShell #WindowsSecurity #CyberSecurity #SOC #ThreatHunting #LateralMovement #LivingOffTheLand #BlueTeam #امنیت_سایبری #امنیت_ویندوز #مرکز_عملیات_امنیت #شکار_تهدید #آکادمی_روزبه
سرویس WinRM (Windows Remote Management) سرویس مدیریت از راه دور ویندوز است؛ به ادمین اجازه می‌دهد از طریق شبکه، روی سیستم‌های دیگر فرمان اجرا کند، اطلاعات بگیرد و تنظیمات را مدیریت کند. PowerShell Remoting معمولاً از WinRM استفاده می‌کند.
پورت‌های پیش‌فرض آن عبارت‌اند از:
- TCP 5985: ارتباط HTTP
- TCP 5986: ارتباط HTTPS
هکر با آن چه می‌کند؟ اگر مهاجم اعتبارنامه معتبر و مجوز لازم برای اتصال داشته باشد، میتواند از WinRM برای این کارها استفاده کند:
- حرکت جانبی: از سیستم اولیه به سرورها و سیستم‌های دیگر متصل شود.
- اجرای فرمان از راه دور: فرمان‌ها و اسکریپت‌های خود را روی مقصد اجرا کند.
- شناسایی محیط: کاربران، سرویس‌ها، پردازش‌ها و تنظیمات سیستم را بررسی کند.
- اجرای ابزار یا بدافزار: با سطح دسترسی حسابی که در اختیار دارد.
- استفاده از ابزارهای بومی ویندوز: فعالیت مخرب را میان عملیات عادی مدیریت سیستم پنهان کند؛ نمونه‌ای از رویکرد Living off the Land.
مثال: مهاجم حساب یک ادمین را سرقت می‌کند. اگر سرور مقصد WinRM فعال داشته باشد و اتصال آن حساب مجاز باشد، مهاجم میتواند بدون باز کردن دسکتاپ RDP، روی سرور فرمان اجرا کند.
نکته برای SOC: در بسیاری از اجرای‌های PowerShell Remoting، پردازش wsmprovhost.exe در مقصد دیده می‌شود. بررسی فرمان‌ها و پردازش‌های مرتبط با آن، همراه با مبدأ اتصال و حساب استفاده‌شده، ارزشمند است؛ وجود این پردازش به‌تنهایی نشانه حمله نیست.
فعال بودن WinRM به‌خودی‌خود یعنی هک شدن سیستم نیست؛ خطر اصلی، دسترسی شبکه‌ای گسترده و سوءاستفاده از حساب‌های مجاز است.
#WinRM #PowerShell #WindowsSecurity #CyberSecurity #SOC #ThreatHunting #LateralMovement #LivingOffTheLand #BlueTeam #امنیت_سایبری #امنیت_ویندوز #مرکز_عملیات_امنیت #شکار_تهدید #آکادمی_روزبه
❤4💯2